令和２年改正個人情報保護法について

はじめに （個人情報保護法について）

１．個人情報保護法とは○個人の権利・利益の保護と個人情報の有用性とのバランスを図るための法律。
○民間事業者の個人情報の取り扱いについて規定する。
以下の組織には、別の法律が適用。
国の行政機関（行政機関個人情報保護法）

独立行政法人等（独立行政法人等個人情報保護法）

地方公共団体等（個人情報保護条例）

個人情報保護法の目的
第１条 この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

２．個人情報とは①「個人情報」の定義○生存する個人に関する情報で、特定の個人を識別することができるもの
（例）

氏名

顔写真

山田 太郎

住所

生年月日

（氏名と組み合わせた場合）（氏名と組み合わせた場合）

東京都●●区▲▲町

1980年●月▲日

山田太郎

山田太郎

②「個人識別符号」の定義◯「個人識別符号」は以下①②のいずれかに該当するものであり、政令・規則で個別に指定される。

① 身体の一部の特徴を電子計算機のために変換した符号② サービス利用や書類において対象者ごとに割り振られる符号（例）
顔認識データ

指紋認識データ

旅券番号

運転免許証番号

マイナンバー（個人番号）など

２．個人情報とは③「要配慮個人情報」の定義○本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
◯具体的には、「①人種、②信条、③社会的身分、④病歴、⑤犯罪の経歴、⑥犯罪により被害を被った事実、⑦その他政令で定めるもの」とされている。
⑦「その他本人に対する不当な差別、偏見が生じないように特に配慮を要するものとして政令で定めるもの」◯ 身体障害・知的障害・精神障害等があること◯ 健康診断その他の検査の結果（「遺伝子検査の結果に関する情報」・「ゲノム情報」は、健康診断その他の検査の結果に該当する。）◯ 保健指導、診療・調剤情報◯ 本人を被疑者又は被告人として、逮捕、捜索等の刑事事件に関する手続が行われたこと◯ 本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたこと

取得や第三者提供には、原則として本人の同意が必要

３．事業者が守るべき４つのルール【個人情報】
生存する個人に関する情報で、特定の個人を識別することができるもの【個人データ】
個人情報データベース等を構成する個人情報→分類・整理され、検索可能な個人情報① 取得・利用利用目的を特定して、その範囲内で利用する利用目的を通知または公表する。

••② 保管・管理
漏えい等が生じないよう、安全に管理する。
従業者・委託先にも安全管理を徹底する。

••③ 第三者提供
第三者に提供する場合は、あらかじめ本人から同意を得る。
第三者に提供した場合・第三者から提供を受けた場合は、一定事項を記録する。

••【保有個人データ】
開示、訂正、削除等の権限を有する個人データ④ 開示請求等への対応••

本人から開示等の請求があった場合はこれに対応する。
苦情等に適切・迅速に対応する。

令和2年改正個人情報保護法について

これまでの経緯
2003年（平成15年） 個人情報保護法成立（2005年（平成17年）全面施行）
法施行後約10年が経過。情報通信技術の発展により、制定当時には想定されなかったパーソナルデータの利活用が可能に

2015年（平成27年） 個人情報保護法改正（2017年（平成29年）全面施行）
３年ごと見直し規定が盛り込まれる
国際的動向、情報通信技術の進展、新産業の創出・発展の状況等を勘案

2020年（令和２年） ３年ごと見直し規定に基づく初めての法改正
 個人の個人情報に対する意識の高まり
 個人データを取り巻くリスクの変化 情報通信技術の一層の発展とそれに伴う様々なサービスの登場
 不正アクセスの巧妙化 経済社会活動のグローバル化に伴う越境移転の急速な増大
 グローバルな個人情報保護関連制度の立法・改正の動き等

見直しに当たっての「５つの視点」
個人の権利利益の保護• 「個人の権利利益を保護」するために必要十分な措置を整備すること

技術革新の成果による保護と活用の強化• 技術革新の成果が、経済成長等と個人の権利利益の保護との両面に行き渡ること

国際的な制度調和・連携• 国際的な制度調和や連携に配意すること

越境データの流通増大に伴う新たなリスクへの対応• 海外事業者によるサービスの利用や、個人情報を扱うビジネスの国境を越えたサプライチェーンの複雑化などが進み、個人が直面するリスクも変化しており、これに対応すること

ＡＩ・ビッグデータ時代への対応• AI・ビッグデータ時代を迎え、個人情報の活用が一層多岐にわたる中、事業者が本人の権利利益との関係で説明責任を果たしつつ、本人の予測可能な範囲内で適正な利用がなされるよう、環境を整備していくこと

令和２年改正個人情報保護法制に関する概要
保有個人データ及び第三者提供記録の開示、利用停止等• ６ヶ月以内に消去するデータも開示、利用停止等の対象とする。
• 個人データの開示方法について、書面だけではなく電磁的記録も含めて、本人が指示できるようにする。
• 個人データの他の事業者との授受の記録（第三者提供記録）について、本人が開示請求できるようにする。
• 個人データの利用停止・消去等について、違法の場合だけではなく、利用する必要がなくなった場合、重大な漏えい等が発生した場合、個人の権利又は正当な利益が害されるおそれがある場合にも、本人が請求できるよう拡充する。
• ①不正取得された個人データ、②オプトアウト規定（※）により提供された個人データのオプトアウト規定による提供を禁止する。

（※）本人の求めがあれば事後的に停止することを前提に、提供する個人データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。

不適正利用の禁止、漏えい等報告・本人通知• 不適正な方法により個人情報を利用してはならない旨を明確化する。
• 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合（※）に、委員会への報告及び本人への通知を義務化する。
（※）一定の類型（要配慮個人情報、不正アクセス、財産的被害）、一定数以上の個人データの漏えい等公表事項及び認定団体制度の充実• 安全管理のために講じた措置を法律上の公表事項に追加する。
• 認定団体制度について、企業の特定分野(部門)を対象とする団体も認定できるようにする。

個人関連情報の第三者提供の制限、仮名加工情報の創設• 個人データに該当しない情報でも、提供した先において個人データとなることが想定されるものについては、データの提供において本人の同意が得られていること等の確認を義務付ける。
• 「仮名加工情報」を創設し、利用を内部分析に限定する等を条件に、利用目的の変更の制限等を緩和する。

法定刑の引上げ等• 委員会による命令への違反・委員会に対する虚偽報告等の罰則を引き上げる。

越境移転の在り方、法の域外適用• 同意の取得時に、本人への情報提供を求める。また、移転先の外国における個人データの適正な取扱いを継続的に確保するための措置等を求める。
• 日本国内にある者に係る個人情報等を取り扱う外国事業者も、個人情報保護法による報告徴収・命令の対象とする。

漏えい等報告等の義務化
 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、委員会への報告及び本人への通知を義務化する。
現 行

改正後

個人情報保護委員会に報告及び本人通知するよう努める（委員会告示）

漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、個人情報保護委員会への報告及び本人への通知を義務化する

個人情報取扱事業者

個人情報保護委員会
報 告漏えい等事案が発生!


漏えい等報告の義務化の対象事案（委員会規則で定める要件）

要配慮個人情報の漏えい等
財産的被害のおそれがある漏えい等
不正の目的によるおそれがある漏えい等
1,000件を超える漏えい等

これらの類型は件数に関わりなく対象※各類型につき、漏えい等の「おそれ」がある事案も対象。

本 人
通 知

漏えい等報告等の義務化?

?

漏えい等報告はどのような事案で行う必要がありますか？
類型

報告を要する事例

要配慮個人情報の漏えい等

従業員の健康診断等の結果を含む個人データが漏えいした場合財産的被害のおそれがある漏えい等

・送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データが漏えいした場合
・個人データであるクレジットカード番号のみの漏えい

不正の目的によるおそれがある漏えい等

不正アクセスにより個人データが漏えいした場合

1,000件を超える漏えい等システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合

漏えい等報告について、報告の期限はどのようになっていますか？
速報と確報の二段階で行う必要があります。
時間的制限

報告内容

速報

報告対象の事態を知ってから「速やかに」（個別の事案によるものの、当該事態を知った時点から概ね3～5日以内）

報告をしようとする時点において把握している内容

確報

報告対象の事態を知ってから30日以内（不正の目的によるおそれがある漏えい等の場合は60日以内）

全ての報告事項（合理的努力を尽くしても、全ての事項を報告できない場合は、判明次第、報告を追完）

漏えい等報告等の義務化?

「当該事態の状況に応じて速やかに」本人への通知を行うとは、具体的にどのようなことをいいますか？
速やかに通知を行うことを求めるものですが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断します。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】
 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人が必要な措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

?

本人への通知はどのような事案で行う必要がありますか？
漏えい等報告の義務化されている事案では、本人に対する通知を行う必要があります。
ただし、本人への通知が困難である場合には、代替措置を講ずることによる対応が認められます。
考えられる具体例
通知が困難

 保有する個人データの中に本人の連絡先が含まれていない
 連絡先が古いために通知を行う時点で本人へ連絡ができない代替措置

 事案の公表
 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにする

●本資料は、令和２年改正個人情報保護法、政令、規則、ガイドライン、Q&Aの概要を抜粋したものであり、事業者の義務や例外規定の全てを記載したものではありません。
●個人情報保護法のより詳細な内容については、個人情報保護委員会のＨＰ等をご参照下さい。